„chaiOS“ pažeidžiamumas – dėl paprastos nuorodos „iPhone“ užšąla

Kitą dieną „iOS“ buvo aptiktas pažeidžiamumas, dėl kurio sugenda programa „Žinutės“, o po to „užšaldomas“ ir perkraunamas išmanusis telefonas. Taip atsitinka, kai į savo išmanųjį telefoną gaunate pranešimą su specialiai sukurta url nuoroda.

Klaidą atrado kūrėjas Abrahamas Masri, pavadinęs ją „chaiOS“. Pažeidžiamumo esmė ta, kad programa „Žinutės“, siųsdama url nuorodą, iš anksto įkelia puslapį ir parodo jo peržiūrą. Masri sako, kad sukūrė tinklalapį, priglobtą GitHub, ir užpildė jį šimtais tūkstančių simbolių. Programuotojas daro prielaidą, kad programos gedimą sukėlė bandymas iš anksto įkelti krūvą nereikalingos informacijos, dėl kurios vėliau sugenda OS ir užstringa bei paleidžiama iš naujo.

Sprendžiant iš vartotojų ataskaitų, pažeidžiamumas turi skirtingą poveikį. Tačiau dažniausios iš jų veda prie programos „Žinutės“ „nutrūkimo“, sisteminių stabdžių, visiško įrenginio užšalimo, o kartais ir „respringo“ („iOS“ iš naujo įkelia „SpringBoard“ programinę įrangą ir grąžina vartotoją į užrakinimo ekraną).

Kūrėjas išbandė „chaiOS“ „iPhone X“ ir „iPhone 5S“. Tada jis pranešė, kad pažeidžiamumas paveikia iOS nuo 10.0 versijos iki 11.2.5 beta 5 versijos. Dėl pažeidžiamumo „Messages“ gali sugesti ir „MacOS“, todėl „MacBook“ savininkai taip pat turėtų apsaugoti savo įrenginius.

Laimei, šiuo metu nėra taip lengva rasti veikiančių URL kopijų. Po to, kai kenkėjiška nuoroda buvo paskelbta „GitHub“ ir nukopijuota daugybei trečiųjų šalių, svetainė nusprendė ją pašalinti. Pats Masri neketina dar kartą įkelti darbinės puslapio versijos. Išankstinis įkėlimas į „GitHub“ buvo atliktas tik dėmesio sumetimais Apple.

Skaitytojų saugumo sumetimais skelbiame trumpą „iOS“ įrenginių apsaugos vadovą:

1. Svetainės, kurioje yra pažeidžiamumas, domeno blokavimas. Jei nuoroda nukreipia į „GitHub“ šaltinį, eikite į „Nustatymai“ – „Safari“ – „Pagrindiniai“ – „Apribojimai“ – „Įgalinti apribojimus“ (įveskite bet kokį 4 skaitmenų apribojimo slaptažodį) – „Svetainės“ – „Apriboti turinį suaugusiesiems“ – (Poskyris „Niekada neleisti“) pridėkite svetainę – „GitHub“ .io.
2. Greitai ištrinkite pranešimą, kai jis bus gautas. Naudotojų atsiliepimai apie šio metodo veiksmingumą yra prieštaringi. Viskas priklauso nuo to, kaip greitai vartotojas gali ištrinti pranešimą su kenkėjiška nuoroda.
3. Atkurti iPhone į gamyklinius nustatymus. Tai paskutinė išeitis, nes po jos naudojimo visa neišsaugota informacija ištrinama. Ir jei neturite atsarginių sistemos kopijų, geriausia šios priemonės atsisakyti.
4. Laukiam pleistro. Deja, nėra žinoma, ar įmonė stengiasi ištaisyti šią problemą, nes oficialios pastabos iš Apple kol atėjo.

Ši pažeidžiamumų kategorija nėra naujiena „iPhone“ programinėje įrangoje. Dėl tokių kenkėjiškų nuorodų bendrovės išmanieji telefonai užšaldė dar 2015 ir 2016 m. Atsižvelgiant į tai, kad praėjusių metų pabaigoje įmonė atliko daugybę programinės įrangos pataisymų Apple, belieka tikėtis, kad ateinančiais metais įmonė taps dėmesingesnė ir reaguos į saugumo klausimus.

Dzerelo: theverge.com